Datenschutz bei KI-Tools im Studium verstehen
Datenschutz bei ki tools im Studium
Wer KI-Tools für Studium oder wissenschaftliches Arbeiten nutzt, sollte prüfen, ob personenbezogene Daten betroffen sind und welche Grundlage für ihre Verarbeitung genannt wird.
Kostenlos herunterladen
KI-Werkzeuge im Studium: Merkzettel für den richtigen Umgang
Der Datenschutz bei KI-Tools im Studium, und daneben die Grenze zwischen Hilfsmittel und Eigenleistung, gute Prompts, die Pflicht zur Quellenprüfung, KI beim Korrekturlesen, die Grenzen von Textdetektoren, Datenschutz mit fremden Texten und die Erlaubnis der eigenen Hochschule.
Worum es beim Datenschutz mit KI-Tools geht
Der Ausdruck Datenschutz bei KI-Tools im Studium bezeichnet die fachliche Prüfung des Umgangs mit personenbezogenen Daten, wenn ein digitales Werkzeug für Lernzwecke, Sprache, Studium oder wissenschaftliches Arbeiten eingesetzt wird. Der Bezug zum Studium zeigt sich daran, dass eigene Texte, Arbeitsmaterialien oder Eingaben in einem solchen Werkzeug auf personenbezogene Daten geprüft werden können. Diese Seite erklärt deshalb keine bestimmte Anwendung und verspricht kein bestimmtes Ergebnis. Sie ordnet die Prüfung anhand der Datenschutzgrundlagen ein, die der BfDI beschreibt.
Im Fokus stehen personenbezogene Daten. Der BfDI ordnet ihren Schutz in den Rahmen der Datenschutz-Grundverordnung und des deutschen Bundesdatenschutzgesetzes ein. Für die Prüfung eines KI-Tools bedeutet das: Zunächst wird geklärt, ob eine Eingabe Informationen enthält, die sich auf eine Person beziehen. Danach wird die datenschutzrechtliche Rolle des Anbieters geklärt. Ist der Anbieter für die betreffende Verarbeitung selbst verantwortlich, wird seine einschlägige Rechtsgrundlage nach Art. 6 DSGVO geprüft. Bei einer Auftragsverarbeitung werden die Rechtsgrundlage der verantwortlichen Stelle sowie die Voraussetzungen und Unterlagen nach Art. 28 DSGVO geprüft. Bei besonderen Datenkategorien sind zusätzlich Art. 9 DSGVO und einschlägige nationale Vorschriften zu prüfen.
Für wissenschaftliches Arbeiten ist diese Einordnung wichtig, weil eine Eingabe nicht allein durch den Studienkontext datenschutzrechtlich erklärt ist. Der sachliche Bezug muss am konkreten Inhalt und am vorgesehenen Zweck geprüft werden. Wer einen Text sprachlich bearbeiten, strukturieren oder untersuchen lassen möchte, trennt daher die Frage nach dem Nutzen des Tools von der Frage nach dem Schutz personenbezogener Daten.
Zur Studienorganisation können ergänzend die Studium-Tipps, die Studiengänge sowie Hochschulen und Universitäten relevant sein. Sie ersetzen die Datenschutzprüfung nicht. Auch beim Studiengang wählen, bei der Studienberatung, beim Vergleich Universität oder Fachhochschule oder mit einem Studienorientierungstest bleibt die konkrete Eingabe der Ausgangspunkt.
Notwendige Ausgangspunkte, die geklärt werden müssen
Vor der Anwendung werden die Punkte festgehalten, die sich aus der Datenschutzgrundlage direkt ergeben. Der erste Ausgangspunkt ist der mögliche Personenbezug einer Information. Der zweite ist der festgelegte Zweck, für den Daten verarbeitet werden sollen. Der dritte ist die datenschutzrechtliche Rolle des Anbieters. Ist der Anbieter für die betreffende Verarbeitung selbst verantwortlich, ist seine einschlägige Rechtsgrundlage nach Art. 6 DSGVO zu prüfen. Bei einer Auftragsverarbeitung sind die Rechtsgrundlage der verantwortlichen Stelle sowie die Voraussetzungen und Unterlagen nach Art. 28 DSGVO zu prüfen. Bei besonderen Datenkategorien sind zusätzlich Art. 9 DSGVO und einschlägige nationale Vorschriften zu prüfen. Diese Punkte bilden die sachliche Basis für die weitere Prüfung.
- Notiere, welche konkrete Eingabe in das KI-Tool gelangen soll, und beschränke sie auf erforderliche Angaben.
- Markiere darin Angaben, die einer Person zugeordnet werden können oder sich auf eine Person beziehen.
- Formuliere den vorgesehenen Zweck in einem kurzen Satz, ohne einen zusätzlichen Zweck hinzuzufügen.
- Suche in den offiziellen Unterlagen des Angebots nach Angaben zur Verarbeitung durch den Anbieter. Die jeweils verantwortliche Stelle bestimmt und dokumentiert die Rechtsgrundlage für ihre eigene Eingabe oder Übermittlung gesondert; bei Hochschulbezug sind deren verbindliche Vorgaben oder die zuständige Datenschutzstelle einzubeziehen.
- Prüfe zunächst die datenschutzrechtliche Rolle des Anbieters. Ist der Anbieter für die betreffende Verarbeitung selbst verantwortlich, prüfe seine einschlägige Rechtsgrundlage nach Art. 6 DSGVO. Bei einer Auftragsverarbeitung prüfe die Rechtsgrundlage der verantwortlichen Stelle sowie die Voraussetzungen und Unterlagen nach Art. 28 DSGVO. Bei besonderen Datenkategorien sind zusätzlich Art. 9 DSGVO und einschlägige nationale Vorschriften zu prüfen.
Für Numerus Clausus, Immatrikulation und Rückmeldung, Modulhandbuch, Prüfungsordnung und ECTS-System gelten jeweils die dafür vorgesehenen offiziellen Unterlagen. Sie ergeben nicht automatisch eine Datenschutzregel.
Als konkreter Ausgangspunkt kann ein eigener kurzer Text dienen. Prüfe zunächst nur, ob darin personenbezogene Daten vorkommen, welchen festgelegten Zweck die Eingabe hat und welche Rechtsgrundlage nach Art. 6 DSGVO die jeweils verantwortliche Stelle für die eigene Eingabe oder Übermittlung bestimmt. Prüfe getrennt davon die Verarbeitung durch den Anbieter. Bei besonderen Datenkategorien sind zusätzlich Art. 9 DSGVO und einschlägige nationale Vorschriften zu prüfen. Das Zwischenergebnis lautet dann nicht, dass die Nutzung erlaubt oder verboten ist, sondern: Personenbezug, Zweck und Rechtsgrundlagen sind dokumentiert oder noch zu prüfen.
Strukturiert prüfen: Begriff, Merkmale und Anwendung
Ein klarer Ablauf verhindert, dass der Studienzweck mit einer Datenschutzbewertung verwechselt wird. Die Quelle beschreibt Datenschutz als Schutz personenbezogener Daten durch den rechtlichen Rahmen der DSGVO und des BDSG. Für die Anwendung auf ein KI-Tool werden Personenbezug, Zweck und die datenschutzrechtliche Rolle des Anbieters nacheinander geprüft. Ist der Anbieter für die betreffende Verarbeitung selbst verantwortlich, wird seine einschlägige Rechtsgrundlage nach Art. 6 DSGVO geprüft. Bei einer Auftragsverarbeitung werden die Rechtsgrundlage der verantwortlichen Stelle sowie die Voraussetzungen und Unterlagen nach Art. 28 DSGVO geprüft. Bei besonderen Datenkategorien sind zusätzlich Art. 9 DSGVO und einschlägige nationale Vorschriften zu prüfen.
- Begriff klären: Notiere, dass personenbezogene Daten im Zentrum der Prüfung stehen. Suche anschließend auch nach indirekten Personenbezügen und besonderen Datenkategorien in der Eingabe. Bei besonderen Datenkategorien prüfst du zusätzlich Art. 9 DSGVO und einschlägige nationale Vorschriften. Zwischenergebnis: Eine markierte Textstelle oder die Feststellung, dass noch kein Personenbezug geprüft wurde.
- Zweck bestimmen: Beschreibe, was das KI-Tool mit der Eingabe leisten soll, etwa die sprachliche Bearbeitung eines eigenen Studienabschnitts. Begrenze die Beschreibung auf diesen festgelegten Zweck. Zwischenergebnis: Ein einzelner, nachvollziehbarer Satz zum Zweck.
- Grundlage nachlesen: Prüfe in den offiziellen Unterlagen die Verarbeitung durch den Anbieter. Die jeweils verantwortliche Stelle bestimmt und dokumentiert die einschlägige Rechtsgrundlage nach Art. 6 DSGVO für ihre eigene Eingabe oder Übermittlung gesondert. Bei besonderen Datenkategorien sind zusätzlich Art. 9 DSGVO und einschlägige nationale Vorschriften zu prüfen. Zwischenergebnis: Die Fundstellen sind notiert oder die Rechtsgrundlagen bleiben als offene Prüfhandlungen stehen.
- Schutzrahmen einordnen: Ordne die Prüfung dem von der Quelle genannten Zusammenspiel von DSGVO und BDSG zu. Die Quelle beschreibt die DSGVO als unmittelbar geltende europäische Verordnung und das BDSG sowie Landesdatenschutzgesetze als ergänzende Regelungen in Deutschland. Zwischenergebnis: Der verwendete Rechtsrahmen ist benannt, ohne eine besondere örtliche Regel zu behaupten.
- Rechte berücksichtigen: Prüfe, ob die offiziellen Unterlagen Informationen zu Auskunft und Berichtigung enthalten. Die Quelle nennt diese Rechte im Zusammenhang mit personenbezogenen Daten. Zwischenergebnis: Die Hinweise sind gefunden oder die zuständige Stelle wird aus den offiziellen Unterlagen ermittelt.
- Anwendung dokumentieren: Vergleiche Eingabe, Zweck, die von der jeweils verantwortlichen Stelle bestimmte Rechtsgrundlage für die eigene Eingabe oder Übermittlung sowie Angaben zur Verarbeitung durch den Anbieter miteinander. Prüfe bei besonderen Datenkategorien zusätzlich Art. 9 DSGVO und einschlägige nationale Vorschriften. Berücksichtige außerdem Angaben zu Speicherung, Löschung, Trainingsnutzung, Empfängern, Unterauftragnehmern und Drittlandübermittlungen. Zwischenergebnis: Eine kurze Notiz, welche Punkte belegt sind und welche konkret nachgeprüft werden müssen.
Erstsemester-Tipps, ein Stipendium im Studium oder ein Studienkredit-Vergleich können Fragen zur Studienorganisation beantworten. Sie sind keine Belege für den Umgang mit personenbezogenen Daten.
Grenzen der Einordnung und offene Prüfungen
Die Quelle ermöglicht eine allgemeine Einordnung des Datenschutzes, belegt aber keine Aussage über ein konkretes KI-Tool. Daraus lassen sich weder Eigenschaften eines bestimmten Anbieters noch Vorgaben einer einzelnen Hochschule oder eines Studiengangs ableiten. Die jeweils verantwortliche Stelle muss die Rechtsgrundlage für eine konkrete Eingabe oder Übermittlung gesondert bestimmen; Anbieterunterlagen betreffen deren Verarbeitung. Bei besonderen Datenkategorien sind zusätzlich Art. 9 DSGVO und einschlägige nationale Vorschriften zu prüfen.
Die DSGVO gilt seit dem 25. Mai 2018. Dieses Datum beschreibt ihren rechtlichen Geltungsbeginn, belegt aber weder eine weitergehende historische Entwicklung noch Eigenschaften eines bestimmten KI-Tools.
Die Quelle nennt Auskunft und Berichtigung als Rechte und beschreibt die Kontrolle des Datenschutzes durch unabhängige Stellen. Daraus darf keine zusätzliche Verfahrensbeschreibung, keine bestimmte Bearbeitungsdauer und keine institutionelle Zuständigkeit ergänzt werden. Wenn eine solche Information für die eigene Entscheidung benötigt wird, lautet die sichere nächste Handlung: Ermittle sie aus den offiziellen Unterlagen oder frage die dort ausgewiesene zuständige Stelle.
Eine Einwilligung darf ebenfalls nicht stillschweigend vorausgesetzt werden. Prüfe, ob die jeweils verantwortliche Stelle sie als einschlägige Rechtsgrundlage nach Art. 6 DSGVO für die eigene Eingabe oder Übermittlung bestimmt und ob sie für die Verarbeitung durch den Anbieter in Betracht kommt. Bei besonderen Datenkategorien sind zusätzlich Art. 9 DSGVO und einschlägige nationale Vorschriften zu prüfen. Fehlt diese Angabe, dokumentiere die offene Frage. Übertrage außerdem keine Regel von einem Tool auf ein anderes. Die Abgrenzung erfolgt am konkreten Angebot, an der konkreten Eingabe, am Zweck und an den dazugehörigen Unterlagen.
Abschlusscheck vor der eigenen Entscheidung
Beim Einsatz von KI-Tools im Studium wird die Einordnung noch einmal vollständig geprüft. Beginne mit der Definition: Geht es tatsächlich um den Schutz personenbezogener Daten? Danach werden die zentralen Merkmale kontrolliert: Ist ein festgelegter Zweck benannt, wird die Verarbeitung auf diesen Zweck bezogen, hat die jeweils verantwortliche Stelle die einschlägige Rechtsgrundlage nach Art. 6 DSGVO für die eigene Eingabe oder Übermittlung bestimmt und sind die Angaben zur Verarbeitung durch den Anbieter in den offiziellen Unterlagen geprüft? Bei besonderen Datenkategorien: Sind zusätzlich Art. 9 DSGVO und einschlägige nationale Vorschriften geprüft?
- Ist die konkrete Eingabe beschrieben und auf erforderliche Angaben beschränkt?
- Sind mögliche personenbezogene Daten in dieser Eingabe markiert?
- Ist der Zweck der Verarbeitung kurz und ohne Zusatzannahmen formuliert?
- Sind die einschlägigen Rechtsgrundlagen nach Art. 6 DSGVO für die eigene Eingabe oder Übermittlung von der jeweils verantwortlichen Stelle bestimmt und die Angaben zur Verarbeitung durch den Anbieter belegt? Bei besonderen Datenkategorien: Sind zusätzlich Art. 9 DSGVO und einschlägige nationale Vorschriften geprüft?
- Sind Hinweise zu Auskunft und Berichtigung in den Unterlagen geprüft?
- Ist die Anwendung des KI-Tools von allgemeinen Informationen zur Studienwahl abgegrenzt?
- Wurde keine Frist, Rechtsfolge, Zuständigkeit oder örtliche Besonderheit ergänzt?
Datenschutz bei KI-Tools im Studium ist nicht dasselbe wie Studienorganisation. Informationen zu Numerus Clausus, Immatrikulation und Rückmeldung, Modulhandbuch, Prüfungsordnung, ECTS-System, Studium-Tipps, Studiengänge, Hochschulen und Universitäten, Studiengang wählen, Studienberatung, Universität oder Fachhochschule und Studienorientierungstest ersetzen nicht die Prüfung der konkreten Datenschutzunterlagen.
Zum Schluss werden die Unterlagen erneut kontrolliert. Ermittle die zuständige Stelle aus offiziellen Unterlagen, wenn eine Frage offen bleibt. Notiere das Ergebnis getrennt nach Definition, Merkmalen, Anwendung und Abgrenzung. Wenn ein Punkt nicht belegt ist, formuliere keine Vermutung, sondern halte die konkrete Nachprüfung fest. Prüfe dabei auch Angaben zu Speicherung, Löschung, Trainingsnutzung, Empfängern, Unterauftragnehmern und Drittlandübermittlungen. Die jeweils verantwortliche Stelle bestimmt die Rechtsgrundlage für ihre eigene Eingabe oder Übermittlung gesondert; Anbieterunterlagen betreffen deren Verarbeitung. Bei besonderen Datenkategorien sind zusätzlich Art. 9 DSGVO und einschlägige nationale Vorschriften zu prüfen. So bleibt die eigene Entscheidung an den gesicherten Angaben ausgerichtet.